پاسخ کوتاه
گواهی SSL اتصال سایت را رمزنگاری و مالکیت دامنه را تایید می کند و آدرس را از http به https می برد. برای اغلب سایت ها گواهی رایگان نوع DV کافی است. گواهی پولی OV یا EV وقتی لازم می شود که شرکت یا قرارداد شما تایید هویت سازمان را بخواهد.
وقتی آدرس یک سایت با https شروع می شود و کنارش قفل می بینید، پشت آن یک گواهی SSL کار می کند. این فایل دو کار انجام می دهد: داده ای را که بین مرورگر و سرور رد و بدل می شود رمزنگاری می کند، و ثابت می کند سروری که با آن حرف می زنید واقعا صاحب همان دامنه است. بدون آن مرورگر هشدار «امن نیست» نشان می دهد و رمز و اطلاعات کاربر در مسیر قابل خواندن است. این راهنما گواهی SSL چیست، انواع آن چه فرقی دارند و کی لازم است پول بدهید را توضیح می دهد.
گواهی SSL دقیقا چه کاری می کند
نام درست این فناوری TLS است و SSL نام قدیمی آن است که هنوز همه به کار می برند. وقتی کاربر سایت شما را باز می کند، مرورگر از سرور گواهی می خواهد. گواهی چند چیز دارد: نام دامنه، مرجع صادرکننده و تاریخ اعتبار. مرورگر صادرکننده را با فهرست مراجع مورد اعتماد خودش مقایسه می کند و اگر همه چیز درست بود، یک اتصال رمزنگاری شده می سازد.
این اتصال سه چیز را برای شما حل می کند:
- رمز ورود، شماره تلفن و اطلاعات فرم ها در مسیر خوانده نمی شوند.
- مرورگر هشدار «اتصال خصوصی نیست» را نشان نمی دهد. علت های رایج این هشدار در راهنمای your connection is not private آمده است.
- گوگل https را یک سیگنال سبک رتبه بندی می داند و بعضی قابلیت های مرورگر، مثل موقعیت مکانی، فقط روی https کار می کنند.
انواع گواهی بر اساس تایید هویت
گواهی ها را بر اساس میزان بررسی صادرکننده تقسیم می کنند. رمزنگاری در همه ی آن ها یکی است.
| نوع | چه چیزی بررسی می شود | برای چه کسی |
|---|---|---|
| DV (تایید دامنه) | فقط کنترل شما روی دامنه | سایت شخصی، فروشگاه، وبلاگ، ربات و API |
| OV (تایید سازمان) | وجود قانونی شرکت و دامنه | شرکت هایی که تایید هویت سازمان را لازم دارند |
| EV (تایید گسترده) | بررسی سخت گیرانه تر سازمان | سازمان هایی که مقررات یا قرارداد آن را می خواهد |
گواهی رایگان همیشه از نوع DV است. مرورگرهای امروزی بین DV و EV تفاوت چشمگیری در نوار آدرس نشان نمی دهند، پس بیشتر بازدیدکننده ها اصلا فرق را نمی بینند. تفاوت واقعی در تایید هویت و در بعضی قراردادها و الزامات سازمانی است.
گواهی Wildcard چیست
گواهی Wildcard یک گواهی است که همه ی زیر دامنه های یک دامنه را با هم پوشش می دهد، مثل *.example.com. اگر چند زیر دامنه دارید، مثلا shop و blog و app، یک گواهی Wildcard جای چند گواهی جدا را می گیرد. این نوع گواهی رایگان هم صادر می شود، ولی تایید آن از طریق DNS انجام می شود و اگر DNS دامنه جای دیگری است، کار کمی پیچیده تر است. مراحل را در راهنمای SSL رایگان در دایرکت ادمین می بینید.
کی گواهی رایگان کافی است
برای بیشتر سایت ها و برنامه ها پاسخ این است: رایگان کافی است. گواهی رایگان DV همان رمزنگاری گواهی پولی DV را دارد و مرورگرها هر دو را یکسان قبول می کنند. این حالت ها معمولا با گواهی رایگان کامل پوشش داده می شوند:
- وبلاگ، سایت شرکتی معرفی، سایت وردپرسی و فروشگاه ووکامرسی.
- API و ربات تلگرام. وب هوک تلگرام فقط با https و گواهی معتبر کار می کند.
- سایت های با دامنه
.irو.com. گواهی رایگان برای دامنه ایرانی هم صادر می شود، به شرطی که DNS دامنه به سرور شما اشاره کند.
مزیت اصلی گواهی رایگان تمدید خودکار است. گواهی های رایگان معمولا اعتبار کوتاه دارند و پنل یا ابزار نصب آن ها را خودش تمدید می کند. در سال های اخیر اعتبار حداکثری گواهی های عمومی، پولی و رایگان، رو به کوتاه شدن بوده است. پس خرید گواهی گران قیمت به امید اعتبار طولانی تر دیگر دلیل منطقی نیست و تمدید خودکار برای همه ضروری است.
کی گواهی پولی لازم می شود
گواهی پولی در چند حالت مشخص معنی دارد:
- شرکت یا مشتری بزرگ قرارداد یا الزامی دارد که تایید هویت سازمان (OV یا EV) را بخواهد.
- برای سیستمی گواهی می خواهید که ابزار خودکار رایگان را پشتیبانی نمی کند.
- پشتیبانی و ضمانتی می خواهید که مرجع صادرکننده پولی به شما می دهد. شرایط این ضمانت در هر شرکت فرق دارد و باید قبل از خرید خوانده شود.
اگر هیچ کدام از این ها برای شما صدق نمی کند، پولی دادن برای گواهی معمولا چیزی به رمزنگاری سایت اضافه نمی کند. پیکوهاست گواهی SSL پولی نمی فروشد. روی پلن های هاست گواهی رایگان فعال است و برای سرور مجازی خودتان ابزارهای رایگان زیر را می توانید به کار ببرید.
گواهی رایگان را کجا و چطور بگیرم
بسته به اینکه سایت شما کجا میزبانی می شود، مسیر فرق می کند:
| وضعیت | روش |
|---|---|
| هاست cPanel | AutoSSL گواهی را خودکار صادر و تمدید می کند. اگر صادر نشد، راهنمای AutoSSL را ببینید. |
| سرور مجازی با Nginx یا Apache | ابزار Certbot با Let's Encrypt. مراحل در راهنمای Certbot است. |
| سرور با DirectAdmin | گزینه Let's Encrypt در پنل. جزئیات در راهنمای SSL در دایرکت ادمین است. |
| سرور با Plesk | افزونه Let's Encrypt در Plesk. راهنمای Plesk را ببینید. |
اگر هنوز هاست ندارید، روی هاست وردپرس و هاست لینوکس گواهی SSL رایگان فعال است. اگر سرور مجازی می خواهید، صفحه خرید VPS گزینه ها را کنار هم گذاشته است.
بعد از نصب گواهی، این سه چیز را بررسی کنید
نصب گواهی تمام ماجرا نیست. بیشتر مشکل هایی که بعد از نصب پیش می آید از همین سه چیز است:
- ریدایرکت از http به https باید یک مرحله ای باشد. اگر مرورگر پیام ERR_TOO_MANY_REDIRECTS داد، راهنمای این خطا علت ها را می گوید.
- تصویر، استایل یا اسکریپتی که هنوز با آدرس http صدا زده می شود، قفل را خراب می کند. اسم این مشکل محتوای مختلط است و در راهنمای mixed content وردپرس رفع آن آمده است.
- تاریخ پایان گواهی. روی نماد قفل در نوار آدرس بزنید و جزئیات گواهی را باز کنید. اگر تمدید خودکار کار نمی کند، چند هفته مانده به پایان متوجه می شوید، نه روز آخر.
برای دیدن گواهی ای که سرور واقعا ارائه می دهد، از خط فرمان این دستور را بزنید و example.com را عوض کنید:
echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -issuer -datesخروجی صادرکننده و تاریخ شروع و پایان اعتبار را نشان می دهد. اگر صادرکننده خودامضا دیده شد، گواهی درست نصب نشده است.
سه سایت و سه وضعیت
برای اینکه تصمیم ساده تر شود، سه حالت رایج را کنار هم بگذاریم.
یک وبلاگ وردپرسی روی هاست cPanel گواهی لازم دارد، ولی لازم نیست چیزی بخرید. AutoSSL آن را صادر و تمدید می کند و شما فقط باید مطمئن شوید دامنه به همان هاست اشاره می کند.
فروشگاهی که روی سرور مجازی خودتان کار می کند و سه چهار زیر دامنه دارد، با Certbot گواهی رایگان می گیرد. اگر تعداد زیر دامنه ها زیاد شد، گواهی Wildcard رایگان را بسنجید، ولی تایید DNS آن را از قبل آماده کنید.
شرکتی که در قرارداد با یک مشتری بزرگ ملزم شده گواهی نوع OV داشته باشد، تنها حالتی است که از گواهی رایگان فراتر می رود. در این حالت گواهی پولی را باید از یک ارائه دهنده گواهی تهیه کنید و ما این نوع را نمی فروشیم.
پیش از صدور گواهی، دامنه و DNS را بررسی کنید
بیشتر شکست های صدور گواهی رایگان یک علت دارند: دامنه هنوز به سرور اشاره نمی کند. مرجع صادرکننده باید ببیند دامنه واقعا روی همین سرور است، پس رکورد A دامنه و www باید به IP سرور برسد. اگر دامنه را تازه خریده اید و هنوز به هاست وصل نکرده اید، اول راهنمای اتصال دامنه به هاست را انجام دهید.
نکته دوم این است که گواهی باید هر دو آدرس را بپوشاند. اگر گواهی فقط برای example.com صادر شده و کاربر www.example.com را باز کند، هشدار می بیند، و برعکس. در ابزارهای خودکار دامنه با www و بدون آن را هر دو در فهرست گواهی بنویسید.
پرسش هایی که زیاد پرسیده می شود
گواهی SSL رایگان امن است؟
از نظر رمزنگاری بله. گواهی رایگان DV همان رمزنگاری گواهی پولی DV را دارد. تفاوت در تایید هویت سازمان، پشتیبانی و ضمانت است و رمزنگاری اتصال در هر دو یکی است.
با گواهی SSL سایتم هک نمی شود؟
نه. گواهی فقط مسیر ارتباط را رمزنگاری می کند. سایتی که افزونه یا رمز ضعیف دارد با https هم هک می شود. امنیت سایت به به روز بودن، رمز قوی و بکاپ بستگی دارد.
گواهی Wildcard را چه موقع بگیرم؟
وقتی چند زیر دامنه دارید و نمی خواهید برای هر کدام گواهی جدا بگیرید. برای یک یا دو زیر دامنه، گواهی جدا برای هرکدام ساده تر است.
چقدر قبل از پایان گواهی باید تمدید کنم؟
اگر تمدید خودکار فعال است لازم نیست کاری بکنید، ولی تاریخ پایان را هر چند هفته یک بار نگاه کنید. تمدید دستی را بهتر است چند هفته قبل از پایان انجام دهید.
پیکوهاست گواهی SSL می فروشد؟
نه. گواهی SSL پولی ارائه نمی کنیم. روی پلن های هاست گواهی رایگان فعال است و برای سرور مجازی راه های رایگان بالا را می توانید به کار ببرید.